PyBeacon es una colección de scripts para deliberar con el tráfico encriptado de Cobalt Strike. Puede reducir / descifrar metadatos de baliza, así como analizar tareas cifradas simétricas.
Scripts incluidos
Hay una pequeña biblioteca que incluye métodos de criptográfico / decodificación, sin requisa, se incluyen algunos scripts de ejemplo.
- stager-decode.py – esta útil simplemente decodificará una DLL de baliza de una URL de inicio (puede usarla para extraer la secreto pública).
- register.py – esta útil comercio con metadatos encriptados RSA y puede registrar una nueva baliza (falsa) en un Teamserver objetivo.
- tasktool.py – esta útil se ocupa de las tareas cifradas AES en torno a / desde el servidor de equipo. Úselo para destinar devoluciones de citación al servidor de equipo o para decodificar tareas desde un servidor de equipo a la baliza.
cs-3-5-rce.py – Esta es una implementación del exploit utilizado para explotar CS <3.5-hf1, que se utilizó en la naturaleza para piratear servidores Cobalt Strike. Funciona registrando una baliza con un itinerario de directorio en el campo de dirección IP. Después, registra una devolución de citación de descarga que hace que la "descarga" se cargue en cualquier puesto del sistema de archivos de destino. El exploit de ITW utilizó un cronjob para obtener RCE.
HACER
- Agregue más tipos de tareas a la deducción de decodificación de tareas
- Agregue decodificación para tareas de baliza. Por el momento, se utiliza cierta deducción «genérica», pero no es en realidad útil
